1、仰天湖电厂电力监控系统安全防护实施方案编 写 单 位： 湖南华电郴州风力发电有限公司 编 写 日 期： 2017 年 5 月 10 日 受理审查单位： （盖章） 受 理 日 期： 一、安全防护目标为了加强发电厂电力监控系统安全防护，抵御核可及恶意代码等对发电厂电力监控系统发起的恶意破坏和攻击，以及其他非法操作，防止发电厂电力监控系统瘫痪和失控，和由此导致的发电厂一次系统事故和其他事故。二、组织体系仰天湖电厂专门成立了电力监控系统安全防护领导小组和工作小组，明确人员职责，将电力监控系统安全防护及其信息报送纳入日常安全生产管理体系，具体名单如下：（一）领导小组组 长：关然（总经理）成 员：王新、胡
2、健、徐志杰、侯昭彬、黄继涛、冷玉波、张国庆、乔凤君、施亮、张祥工作职责：负责提出安全防护工作目标和要求，审定工作方案，协调和指导相关工作。（二）工作小组组 长：施亮（部门主任）成 员：李博、刘海峰、王小泽、王超、范博文专 责：范博文（信息专责）工作职责：工作小组制定工作方案并负责工作方案的实施。三、电力监控系统概况仰天湖电厂电力监控系统 9 套，依次为风机集中监控系统、升压站监控系统、无功电压与发电功率控制（AVC、AGC）系统、同步相量测量装置（PMU）、风功率预测系统、故障录波装置、电能量采集装置、生产与营销系统、视频监控系统。其中位于安全的 4 套，为风机集中监控系统、升压站监控系统、无
3、功电压与发电功率控制（AVC、AGC）系统、同步相量测量装置（PMU），安全区 3 套，为风功率预测系统、故障录波装置、电能量采集装置，管理信息大区 2 套，分别为生产与营销系统、视频监控系统。（注意：请参考能源局 36 号文中“附件 4 发电厂监控系统安全防护方案”附录 1 中各系统统计）（一）风机集中监控系统情况风机集中监控系统为中国南车股份有限公司，于 2009 年12 月正式投运，系统承担风机数据采集、故障报警、远程启停风机等作用。系统采用 C/S 模式，分 3 个部分，依次为风机箱变部分、服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 1 台，工作站 3 台，网络设备
4、4 台（路由器、交换机）。1、系统具备的功能模块为：1) 风机数据采集及展示功能2) 风机故障告警功能3) 风机远程控制功能2、与其他系统数据交互情况1）与安全区无功电压与发电功率控制（AVC、AGC）系统、升压站监控系统有交互。与安全区风功率预测系统有交互。（二）升压站监控系统情况升压站监控系统为国电南京自动化股份有限公司，于 2009年 12 月正式投运，系统承担升压站一次系统设备状态展示、远程控制等作用。系统采用 C/S 模式，分 3 个部分，依次为一次设备部分、服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 4 台，工作站 2 台，网络设备 1 台（路由器、交换机）。1、
5、系统具备的功能模块为：1)升压站一次系统设备状态展示功能2)故障告警功能3)远程控制功能2、与其他系统数据交互情况1）与安全区风机集中监控系统、同步相量测量装置（PMU）有交互。与安全区故障录波装置、电能量采集装置有交互。与安全区生产与营销系统有交互。与调度数据有交互。（三）无功电压与发电功率控制（AVC、AGC）系统情况无功电压与发电功率控制（AVC、AGC）系统为国电南京自动化股份有限公司，于 2009 年 12 月正式投运，系统承担自动无功电压控制、自动发电功率控制作用。系统采用 C/S 模式，分 2 个部分，依次为服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 1 台，工
6、作站 2 台，网络设备 1 台（路由器、交换机）。1、系统具备的功能模块为：1)自动无功电压控制功能2)自动发电功率控制功能2、与其他系统数据交互情况1）与安全区风机集中监控系统有交互。与调度数据有交互。（四）同步相量测量装置（PMU）情况同步相量测量装置（PMU）为国电南京自动化股份有限公司，于 2009 年 12 月正式投运，装置承担电力系统的动态监测、系统保护、系统分析和预测作用。系统采用 C/S 模式，分 1 个部分，依次为服务器部分，部署在综合楼二楼机房。系统共有服务器 1 台，工作站 0 台，网络设备 0 台（路由器、交换机）。1、装置具备的功能模块为：1)电力系统的动态监测功能2
7、)系统保护功能3)系统分析和预测功能2、与其他系统数据交互情况1）与安全区升压站监控系统有交互。与调度数据有交互。如与区其他系统，与气象、水情、政府等数据交互情况。.（五）风功率预测系统情况风功率预测系统为北京东润环能科技股份有限公司，于2016 年 7 月正式投运，系统承担实时功率采集、数值天气预报、短期预测、超短期预测等作用。系统采用 B/S 模式，分 2 个部分，依次为服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 2 台，工作站 2 台，网络设备 1 台（路由器、交换机）。1、系统具备的功能模块为：1)实时功率采集功能2)数值天气预报功能3)短期预测功能4)超短期预测功能
8、2、与其他系统数据交互情况1）与安全区风机集中监控系统有交互。与调度数据有交互。与气象数据有交互。（六）故障录波装置情况故障录波装置为国电南京自动化股份有限公司，于 2009年 12 月正式投运，装置承担故障前后记录各种电气量的变化情况等作用。系统采用 C/S 模式，分 2 个部分，依次为服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 1 台，工作站 1 台，网络设备 0 台（路由器、交换机）。1、装置具备的功能模块为：1)故障前后记录各种电气量的变化情况功能2)对分析处理事故、判断保护是否正确动作功能2、与其他系统数据交互情况1）与安全区升压站监控系统有交互。与调度数据有交互。
9、（七）电能量采集装置情况电能量采集装置为国电南京自动化股份有限公司，于 2009年 12 月正式投运，装置承担电量远端采集、存储、远传作用。系统采用 C/S 模式，分 1 个部分，依次为服务器部分，部署在综合楼二楼机房。系统共有服务器 1 台，工作站 0 台，网络设备 0 台（路由器、交换机）。1、装置具备的功能模块为：1)电量远端采集、存储、远传功能2、与其他系统数据交互情况1）与安全区升压站监控系统有交互。与调度数据有交互。（八）生产与营销系统情况生产与营销系统为国电南京自动化股份有限公司，于 2009年 12 月正式投运，系统承担实时数据采集、数据标准化、数据存储与上传等作用。系统采用
10、C/S 模式，分 2 个部分，依次为服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 3 台，工作站 1 台，网络设备 1 台（路由器、交换机）。1、系统具备的功能模块为：1)实时数据采集功能2)数据标准化功能3)数据存储与上传功能2、与其他系统数据交互情况1）与安全区升压站监控系统有交互。与华电集团数据有交互。（九）视频监控系统情况视频监控系统为国电南京自动化股份有限公司，于 2009年 12 月正式投运，系统承担对升压站周围环境实时监控作用。系统采用 C/S 模式，分 2 个部分，依次为服务器部分、工作站部分，部署在综合楼二楼机房。系统共有服务器 1 台，工作站 2 台，网络设
11、备 0 台（路由器、交换机）。1、系统具备的功能模块为：1)升压站周围环境实时监控功能2、与其他系统数据交互情况1）无交互情况。四、安全防护方案（一）安全分区情况根据国家发改委 2014 年第 14 号令电力监控系统安全防护规定及国家能源局国能安全【2015】36 号文中对安全区的划分原则，结合本厂的电力监控系统实际情况，将本厂电力监控系统分别放置于相应的安全分区，具体情况参见表 1。表 1 仰天湖电厂电力监控系统安全分区表安全分区应用系统 网络分段 设备类型 设备名称主机 风机监控服务器风机数据采集交换机 1风机数据采集交换机 2风机数据采集交换机 3区（实时控制区）风机集中监控系统采集数据
12、网段：193.168.1.130-193.168.22.130;服务器心跳网段：193.168.1.100网络设备南车风机交换机远动服务器 1远动服务器 2通信服务器 1主机通信服务器 2升压站监控系统服务器心跳网段：172.20.110.101,172.20.110.102网络设备AGC/AVC 服务器主机智能服务终端无功电压与发电功率控制（AVC、AGC）系统 网络设备 AGC/AVC 交换机同步相量数据集中器主机同步相量测量装置同步相量测量装置（PMU） 网络设备气象服务器主机风功率服务器风功率预测系统 网络设备 风功率交换机主机 故障录波及测距装置故障录波装置 网络设备主机 电能量采集
13、装置区（非控制生产区）电能量采集装置 网络设备备用接口机风机监控接口机主机升压站接口机生产与营销系统服务器心跳网段：202.119.100.81-202.119.100.83网络设备 生产与营销系统交换机主机 视频监控装置区（生产管理区）视频监控系统 网络设备（二）网络连接情况1）广域网电厂与长沙本部通过联通专网相连，路由器及防火墙由集团统一部署。电厂与调度数据网通过专线相连，场站侧与调度数据网间部署了加密认证网关。生活用网为电信网络。2）局域网公司内部网络结构采用三层网络拓扑结构，系统实现快速性、可靠性、安全性，具有良好的运行性能及容错能力。对局域网内 IP 地址进行规划，采用集团统一分配的
14、 IP 地址进行VLAN 或子网划分。（三）横向安全防护情况1、风功率预测系统1）基本情况、区正向隔离装置，互联网气象数据采集服务器与区交换机间反向隔离装置。、区防火墙，区与办公网间防火墙。2）安全设备部署情况包括设备的品牌、型号，并详细描述设备的部署位置与配置策略，如表 2 所示。表 2 仰天湖电厂风功率预测系统横向安全防护设备表序号 设备名称 设备型号 安装地点 安全防护策略1 、区正向隔离装置 珠海鸿瑞HRwall-85M- 综合楼 2 楼继保室机房2 互联网气象 国电南瑞 综合楼 2 楼数据采集服务器与区反向隔离装置SysKeeper-2000继保室机房3 、区防 火墙 1 众至LB-
15、2206 综合楼 2 楼继保室机房4 区与办公网间防火墙 Juniper SSG 140 综合楼 2 楼继保室机房 集团统一管控（四）纵向安全防护情况1、数据调度网1）基本情况调度数据网与场站侧区连接间有纵向加密设备 1，调度数据网与场站侧区连接间有纵向加密设备 2。2）安全设备部署情况包括设备的品牌、型号，并详细描述设备的部署位置与配置策略，如表 3 所示。表 3 仰天湖电厂数据调度网纵向防护设备表序号 设备名称 设备型号 安装地点 安全防护策略1 区纵向加 密 1北京科东PSTunnel-2000L综合楼 2 楼继保室机房2 区纵向加 密 2北京科东PSTunnel-2000L综合楼 2
16、楼继保室机房（五）综合安全防护情况1、入侵检测电厂生产控制大区工部署了 0 套网络入侵检测系统。2、主机与网络设备加固仰天湖电厂电力监控系统机房生产控制大区共有服务器 8台，网络设备 6 台。对 1 台主机，4 台网络设备进行了主机加固。加固的主要措施如下：1）安全配置，风机集中监控系统 1 台服务器，风功率交换机，风机交换机，区交换机，区交换机。2）安全补丁，风机集中监控系统 1 台服务器。生产控制大区未采用无线通信功能设备。管理信息大区业务系统未使用无线网络传输业务。3、安全审计生产控制大区的监控系统不具备安全审计功能。4、备用与容灾电厂关键业务的数据备份情况：对历史归档数据采用异地保存，
17、关键主机设备、网络设备或部件进行了冗余配置，控制区的业务系统（应用）采用冗余方式。5、恶意代码防范生产控制大区不具备防恶意代码管理服务器。 （六）监控系统网络拓扑图1、生产控制大区拓扑图以 viso 格式插入，分生产控制大区总图，安全区分图两大部分。每张图应包含系统或分区的所有设备，包括服务器、工作站、路由器、交换机、防火墙、隔离装置、纵向加密等设备，调度数据网电厂节点应包含在内。1）生产控制大区总图 仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 拓 扑 总 图(安 全 区 )应 用 及 维 护工 作 站 区 汇 聚 交 换 机servpSeris IBMH CRU6
18、 IrservpSeris IBMH CRU6 Ir仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 拓 扑 总 图(安 全 区 ) 内 部 资 料切 勿 外 传制 图 范 博 文日 期 2017年 5月 / 区正 向 隔 离 装 置 区 汇 聚 交 换 机仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 拓 扑 总 图(安 全 区 ) / 区 防 火 墙关 口 能 量 采 集 通道应 用 及 维 护工 作 站核 心 交 换 机应 用 及 维 护工 作 站 区 汇 聚 交 换 机servpSeris IBMH CRU6 IrOA网 区 /办 公 网防
19、 火 墙servpSeris IBMH CRU6 Ir 外 网 气 象 采集 服 务 器反 向 隔 离 装 置互 联 网风 机 监 控 服 务 器 远 动 服 务 器 1远 动 服 务 器 2远 动 采 集 通 道风 机 数 据 采 集 通道servpSeris IBMH CRU6 Ir风 功 率 预 测 服 务 器servpSeris IBMH CRU6 Ir关 口 能 量 数 据 采 集 终 端servpSeris IBMH CRU6 Ir 视 频 监 控生 产 与 营 销 实 时监 管 系 统 servpSeris IBMH CRU6 Ir 备 用 接 口 机风 机 监 控 接 口 机升
20、 压 站 接 口 机同 步 时 钟(北 斗 和 GPS)功 率 控 制 服 务 器 服 务 器servpSeris IBMH CRU6 Ir接 入 路 由 器servpSeris IBMH CRU6 Ir 故 障 录 波 装 置调 度 数 据网 纵 向 加 密 1 调 度 数 据 网 区 交 换 机 接 入 路 由 器调 度 数 据网 纵 向 加 密 2 调 度 数 据 网 区 交 换 机PMU servpSeris IBMH CRU6 IrservpSeris IBMH CRU6 IrservpSeris IBMH CRU6 Ir 通 信 服 务 器 1通 信 服 务 器 2servpSer
21、is IBMH CRU6 Ir servpSeris IBMH CRU6 Ir2）安全区分图A、安全区分图 / 区防 火 墙内 部 资 料切 勿 外 传至 区绘 制 范 博 文日 期 2017年 5月仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 拓 扑 总 图(安 全 区 )应 用 及 维 护工 作 站 区 汇 聚 交 换 机风 机 监 控 服 务 器 远 动 服 务 器 1远 动 服 务 器 2远 动 采 集 通 道风 机 数 据 采 集 通道同 步 时 钟(北 斗 和 GPS)功 率 控 制 服 务 器 服 务 器接 入 路 由 器调 度 数 据网 纵 向 加 密
22、 1 调 度 数 据 网 区 交 换 机PMU通 信 服 务 器 1通 信 服 务 器 2B、安全区分图内 部 资 料切 勿 外 传至 区绘 制 范 博 文日 期 2017年 5月至 区 / 区正 向 隔 离 装 置 / 区 防 火 墙 区 汇 聚 交 换 机仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 拓 扑 总 图(安 全 区 )关 口 能 量 采 集 通道应 用 及 维 护工 作 站serv pSeris IBMH CR U6 IBMserv风 功 率 预 测 服 务 器serv pSeris IBMH CR U6 IBMserv关 口 能 量 数 据 采 集
23、终 端serv pSeris IBMH CR U6 IBMserv 故 障 录 波 装 置接 入 路 由 器调 度 数 据网 纵 向 加 密 2 调 度 数 据 网 区 交 换 机C、管理信息大区分图至 区仰 天 湖 风 电 场 电 力 监 控 系 统 安 全 防 护 网 络 分 区 图(安 全 区 ) 内 部 资 料切 勿 外 传制 图 范 博 文日 期 2017年 5月 / 区正 向 隔 离 装 置核 心 交 换 机应 用 及 维 护工 作 站 区 汇 聚 交 换 机OA网 区 /办 公 网防 火 墙serv pSeris IBMH CR U6 IBMserv 外 网 气 象 采集 服 务 器反 向 隔 离 装 置互 联 网serv pSeris IBMH CR U6 IBMserv 视 频 监 控serv pSeris IBMH CR U6 IBMserv生 产 与 营 销 实 时监 管 系 统 serv pSeris IBMH CR U6 IBMserv 备 用 接 口 机风 机 监 控 接 口 机升 压 站 接 口 机serv pSerisIBMH CR U6 IBMserv（七）其他补充说明无
